10.2. セキュリティー

4 つの libvirt サービスの SELinux ポリシールールが一時的に permissive モードに変更される

以前は、SELinux ポリシーは、従来のモノリシック libvirtd デーモンを新しいモジュラーデーモンセットに置き換えたことを反映して変更されていました。この変更にはいくつかのシナリオのテストが必要になるため、次のサービスは一時的に SELinux の permissive モードに変更されていました。

pkcs11-provider を使用した FIPS モードで暗号化トークンが動作しない

システムが FIPS モードで実行されている場合、pkcs11-provider OpenSSL プロバイダーは正しく動作せず、OpenSSL TLS ツールキットはデフォルトのプロバイダーにフォールバックします。その結果、OpenSSL は PKCS #11 キーをロードできず、このシナリオでは暗号化トークンは機能しません。

Extended Master Secret TLS エクステンションが FIPS 対応システムに適用されるようになりました。

RHSA-2023:3722 アドバイザリーのリリースにより、FIPS 対応の RHEL 9 および 10 システム上の TLS 1.2 接続に、TLS Extended Master Secret (EMS) 拡張機能 (RFC 7627) が必須になりました。これは FIPS-140-3 要件に準拠しています。TLS 1.3 は影響を受けません。

NSS データベースのパスワードを更新すると ML-DSA のシードが破損する

ML-DSA 鍵の生成は、鍵を導出するのに十分なシードから始まります。ただし、後続の操作を高速化するために、鍵を拡張することもできます。NSS データベースに ML-DSA 鍵 (生成またはインポートしたもの) がある場合、拡張形式とシードの両方が保存されている可能性があります。NSS がデータベースの再暗号化を処理する方法にバグがあるため、データベースのパスワードを変更すると、シード属性が新しいパスワードに合わせて更新されません。その結果、以前のパスワードを知っていたとしても、シードの値は永久に失われます。